Defending against Backdoor Attacks via Module Switching

إليك ملخص تقني مفصل للورقة البحثية بعنوان "Defending Against Backdoor Attacks via Module Switching" (ICLR 2026).

1. بيان المشكلة

تشكل هجمات الباب الخلفي (Backdoor attacks) تهديداً خطيراً للشبكات العصبية العميقة (DNNs) من خلال زرع محفزات مخفية تسبب سلوكاً ضاراً أثناء الاستدلال، مع الحفاظ على الأداء الطبيعي على البيانات النظيفة.

• تحدي ما بعد التدريب: الدفاع ضد هذه الهجمات صعب للغاية في إعدادات "ما بعد التدريب" (على سبيل المثال، استخدام نماذج من HuggingFace، أو Mixture-of-Experts، أو التعلم الاتحادي). في هذه السيناريوهات، يفتقر المدافعون إلى الوصول إلى بيانات التدريب الأصلية، أو العينات المسمومة، أو المعرفة بأنماط المحفزات.
• محدودية الدفاعات الحالية:
  • دمج النماذج (متوسط الأوزان): يمكن للطرق الحالية مثل متوسط الأوزان (Weight Averaging - WAG) كبح الأبواب الخلفية عبر متوسط أوزان عدة نماذج. ومع ذلك، فإنها غالباً ما تتطلب من 3 إلى 6 نماذج متجانسة لتكون فعالة، وتواجه صعوبة عندما تشترك النماذج في أبواب خلفية متطابقة (الهجمات التواطئية/Collusive attacks).
  • الاعتماد على الموارد: تتطلب العديد من الدفاعات بيانات مساعدة موثوقة، أو إعادة تدريب، أو إجراءات تحسين معقدة غير متوفرة في البيئات غير الموثوقة.

2. المنهجية: دفاع تبديل الوحدات (Module Switching Defense - MSD)

يقترح المؤلفون دفاع تبديل الوحدات (MSD)، وهو دفاع لما بعد التدريب يعمل على تعطيل "الاختصارات" (Shortcuts) الخاصة بالباب الخلفي عن طريق التبادل الانتقائي لوحدات الشبكة بين النماذج المخترقة بدلاً من مجرد متوسط أوزانها.

الرؤية الجوهرية

تعمل الأبواب الخلفية كاختصارات متعلمة تستغل الارتباطات الزائفة، والتي تتركز عادةً داخل وحدات شبكية محددة. وبما أن النماذج ذات الباب الخلفي المختلفة نادراً ما تزرع هذه الاختصارات في نفس المواقع بالضبط، فإن تبديل الوحدات المقابلة بين النماذج يؤدي إلى تعطيل المسارات الهشة اللازمة لعمل الباب الخلفي، مع الحفاظ على المعرفة الدلالية (Semantic knowledge) السليمة.

الإطار التقني

يتكون مسار عمل MSD من أربع مراحل رئيسية:

1. الأساس النظري (الشبكات ذات الطبقتين):

   • أثبت المؤلفون نظرياً أن تبديل الوحدات يحقق تباعداً أكبر للباب الخلفي (Backdoor divergence) (المسافة عن نمط الباب الخلفي) مقارنة بمتوسط الأوزان (WAG).
   • أظهروا أنه بينما ينشئ WAG نموذجاً هو عبارة عن متوسط لمكونات الباب الخلفي، فإن تبديل الطبقات ينشئ نماذج تكون فيها مكونات الباب الخلفي غير متوافقة، مما يؤدي فعلياً إلى تحييد المحفز.
   • والأهم من ذلك، أظهروا أن فقدان المنفعة (تدهور الدقة النظيفة) يظل منخفضاً لأن المكونات الدلالية يتم الحفاظ عليها.

2. قواعد التسجيل التجريبية (Heuristic Scoring Rules):
   للتعامل مع الشبكات العميقة (Transformers, CNNs)، حدد المؤلفون قواعد تجريبية لتوجيه البحث عن استراتيجيات التبديل المثلى. هذه القواعد تعاقب التكوينات التي قد تحافظ على مسارات الباب الخلفي:

   • عقوبة داخل الطبقة (Intra-layer Penalty): تثبط الاحتفاظ بالوحدات المتجاورة (مثل Query و Key) من نفس النموذج المصدر داخل طبقة واحدة.
   • عقوبة الطبقات المتتالية (Consecutive-layer Penalty): تثبط الاتصالات المباشرة بين الوحدات من نفس النموذج المصدر عبر الطبقات المتتالية.
   • عقوبة المسار المتبقي (Residual-path Penalty): تعاقب الوحدات من نفس المصدر المتصلة عبر اتصالات تخطي (Skip connections).
   • التوازن والتنوع: تشجع على التوزيع المتساوي للوحدات عبر النماذج المصدرية والتركيبات المتنوعة.

3. البحث التطوري (NAS):

   • تم صياغة مشكلة إيجاد أفضل تركيبة للوحدات كمسألة بحث عن بنية عصبية (Neural Architecture Search - NAS) منفصلة.
   • تُستخدم خوارزمية تطورية (تحديداً التطور المنظم بالتقادم - Aging regularized evolution) للبحث في فضاء استراتيجيات التبديل.
   • يتم حساب دالة اللياقة (Fitness function) مباشرة باستخدام درجات القواعد التجريبية (دون الحاجة لتدريب النموذج)، مما يجعل البحث فعالاً.
   • المخرج هو جدول فهرس الاستراتيجية الذي يحدد أي نموذج مصدر يوفر الوزن لكل خانة وحدة (Module slot).

4. اختيار المرشحين:

   • يولد البحث عدة نماذج مرشحة. ولتحديد النموذج الأكثر قوة، استخدم المؤلفون مجموعة تحقق نظيفة صغيرة (20-50 عينة لكل فئة).
   • قاموا بتحديد "الفئة المشتبه بها" (الفئة المستهدفة المحتملة للباب الخلفي) عن طريق تحسين المدخلات الوهمية.
   • يتم اختيار المرشح الذي تكون تمثيلاته للميزات على البيانات النظيفة الأقل توافقاً (أقصى مسافة جيب تمام - Cosine distance) مع ميزات الفئة المشتبه بها لنموذج مرجعي يعتمد على متوسط الأوزان (WAG) ليكون هو النموذج المنقى النهائي.

3. المساهمات الرئيسية

1. آلية دفاع مبتكرة: تقديم MSD، الذي يعطل اختصارات الباب الخلفي عبر التبديل الهيكلي للوحدات بدلاً من متوسط الأوزان.
2. التحقق النظري: إثبات أن تبديل الوحدات يحقق تباعداً أكبر للباب الخلفي من WAG في الشبكات النظرية ذات الطبقتين، مع التحقق التجريبي من الحفاظ على المنفعة.
3. القوة ضد التواطؤ: يظل MSD فعالاً حتى عندما تشترك عدة نماذج في نفس الباب الخلفي (الهجمات التواطئية)، وهو سيناريو يفشل فيه WAG لأن متوسط الأبواب الخلفية المتطابقة يعززها.
4. الكفاءة العملية: البحث مدفوع بالبنية ومستقل عن المهمة. الاستراتيجية التي يتم العثور عليها لنموذج واحد (مثل RoBERTa) يمكن إعادة استخدامها لنماذج أخرى بنفس البنية (مثل DeBERTa)، ويتم إجراء البحث "أوفلاين"، مما يجعل النشر سريعاً للغاية (ثوانٍ).
5. تقييم شامل: اختبارات مكثفة عبر مجالات النصوص (NLP) والرؤية (CV)، بما في ذلك أنواع هجمات مختلفة (BadNet, WaNet, Hidden-Killer, إلخ) وبنيات متنوعة (Transformers, ResNets).

4. النتائج التجريبية

قيم المؤلفون MSD على SST-2، MNLI، AG News (النصوص) و CIFAR-10، TinyImageNet (الرؤية).

• أداء دفاع متفوق:
  • النصوص: في SST-2، خفض MSD معدل نجاح الهجوم (ASR) إلى 22.0% لهجوم BadNet+InsertSent، مقارنة بـ 31.9% لـ WAG. وضد الهجمات الأكثر تخفياً (BadNet+LWS)، حقق MSD نسبة ASR بلغت 40.4%، وهو ما يتفوق بشكل كبير على النماذج المرجعية (التي غالباً ما تتجاوز 60%).
  • الرؤية: في CIFAR-10، خفض MSD نسبة ASR إلى 18.5% لهجوم BadNet+PhysicalBA، متفوقاً على جميع النماذج المرجعية بنسبة لا تقل عن 20%.
• عدد نماذج أقل مطلوب: يحقق MSD دفاعاً قوياً باستخدام نموذجين فقط، بينما يتطلب WGB عادةً من 3 إلى 6 نماذج.
• المقاومة للهجمات التواطئية: في السيناريوهات التي تشترك فيها النماذج في أبواب خلفية متطابقة، حافظ MSD على نسبة ASR منخفضة، بينما تدهور أداء WAG ليصبح مساوياً لأداء نموذج واحد مخترق.
• الحفاظ على المنفعة: ظلت الدقة النظيفة (CACC) عالية (على سبيل المثال، >96% في SST-2)، وهي مقاربة للنماذج الأصلية و WAG.
• الكفاءة: يستغرق البحث التطوري حوالي 2.6 ساعة (أوفلاين)، لكن عملية دمج النماذج الفعلية تستغرق 16 ثانية فقط. هذا أسرع بكثير من طرق البحث وقت النشر مثل DARE (التي تستغرق ~2.5 ساعة لكل عملية دمج).

5. الأهمية

تعالج هذه الورقة فجوة حرجة في أمن الذكاء الاصطناعي: الدفاع ضد الأبواب الخلفية في عصر ما بعد التدريب ونقص البيانات.

• الواقعية: من خلال اشتراط مجموعة تحقق نظيفة صغيرة وعدم الحاجة لإعادة التدريب، يعد MSD قابلاً للنشر بشكل كبير في سيناريوهات العالم الحقيقي مثل أسواق النماذج والتعلم الاتحادي.
• التعميم: الطريقة مستقلة عن البنية (تعمل على كل من Transformers و CNNs) وقابلة للانتقال عبر النماذج ذات البنية نفسها.
• تحول في النموذج الأمني: إنها تنتقل من مجرد متوسط الأوزان إلى التفكيك الهيكلي، مما يوفر دفاعاً أكثر قوة ضد الهجمات المتطورة، التواطئية، والمتخفية.

باختاري، يقدم دفاع تبديل الوحدات (Module Switching Defense) حلاً فعالاً من حيث التكلفة، وسريعاً، وقوياً للغاية لتنقية النماذج ذات الأبواب الخلفية في ظل غياب بيانات التدريب، متفوقاً بشكل كبير على تقنيات دمج النماذج الحالية.